X.509、数字签名、CA(Certificate Authority)、自签名证书、PKI

X.509是由国际电联电信委员会(ITU-T)为单点登录(SSO-Single Sign-on)和授权管理基础设施(PMI-Privilege Management Infrastructure)制定的 数字证书的格式标准。X.509定义了(但不仅限于)公钥证书、证书吊销清单、属性证书和证书路径验证算法等证书标准。

数字证书:
在X.509系统中,CA签发的证书依照X.500的管理,绑定了一个 唯一甄别名(DN-Distinguished Name),可以包含多个字段和值,还可以支持 别名(Alternative Name)
X.509包含了一个证书吊销列表(CRL-Certificate Revocation List)实施的标准,这在PKI系统中经常被人所忽略。IETF提出的检查证书有效性的方法是在线证书状态(OCSP- Online Certificate Status Protocol)。Firefo3 缺省就是使用OCSP协议。

X.509 v3证书数据结构如下:(Firefox->Tools->Options->Advanced->View Certificates可以看到相关证书)
  • Certificate证书
  • Version 版本 - Version 3
  • Serial Number 序列号 - 01
  • Certificate Signature Algorithm 证书签名算法 - PKCS #1 SHA-1 With RSA Encryption
  • Issuer 颁发者 - 采用X.500格式
  • Validity 有效期
  •         Not Before 有效起始日期 - 5/13/2005 18:27:17 PM
  •         Not After 有效终止日期 - 3/22/2015 18:27:17 PM
  • Subject 使用者 - 采用X.500格式
  • Subject Public Key Info 使用者公钥信息
  •         Public Key Algorithm 公钥算法 - PKCS #1 RSA Encryption
  •         Subject Public Key 公钥
  • Issuer Unique Identifier (Optional) 颁发者唯一标识
  • Subject Unique Identifier (Optional) 使用者唯一标识
  • Extensions (Optional) 扩展
  •         ...
  • Certificate Signature Algorithm 证书签名算法 - PKCS #1 SHA-1 With RSA Encryption
  • Certificate Signature Value 证书数字签名值

数字签名: H--Hash计算  E--加密计算  D--解密计算
在签发者处,首先求出传递消息Info的HASH值,然后用私钥Private Key对Hash值做加密,然后将传递消息原文Info和经过加密的HASH值一起发给接受者,接受者首先用签发者的公钥解开密码得到传递过来的Hash值,然后对收到的Info原文计算HASH值,然后比对是否相同,如果相同,则认证成功。

CA(Certificate Authority)是数字证书认证中心的简称,是指 颁发证书、废除证书、更新证书、验证证书、管理密钥的机构。CA建立自上而下的信任链, 下级CA信任上级CA,下级CA由上级CA颁发证书并认证。(因为下级CA的证书是用上级CA的密钥加密的,而上级CA的密钥只有自己知道, 因此别人无法冒充上级CA给别人发证书,因此才能形成自上而下的信任链!)
现在主流的浏览器:IE、Firefox,Opera和Safari等都会 预先安装一部分根证书,这些根证书都是受信任的证书认证机构CA,这样他们颁发的证书,浏览器将可以直接信任。虽然用户可以删除或者禁用这些根证书,但事实上,用户很少这么做。在最新的微软平台,甚至会在用户移除了预先安置的根证书后,当用户再访问这些被删除的根证书网站的时候,会自动将这些根证书恢复到信任列表中。

自签名证书的发行机构是用户自己,不在任何一个受信任的CA下,因此默认情况下,浏览器是不信任这个证书的!需要用户 手动添加证书例外、或者导入自签名的根证书

PKI(Public Key Infrastructure)即"公钥基础设施",是一种遵循既定标准的密钥管理平台,它能够为所有网络应用 提供加密和数字签名等密码服务及所必需的密钥和证书管理体系,简单来说,PKI就是利用公钥理论和技术建立的提供安全服务的基础设施。PKI技术是信息安全技术的核心,也是电子商务的关键和基础技术。PKI的基础技术包括加密、数字签名、数据完整性机制、数字信封、双重数字签名等。

参考:
X.509
PKI

你可能感兴趣的:(certificate)